Dépanner les problèmes d'authentification adaptative

• Provisionnement
• Problème d'accessibilité de l'instance
• Problème de connectivité et d'authentification AD/RADIUS
• Problèmes d'authentification
• Problèmes liés à la posture EPA/du périphérique
• Problèmes liés aux balises intelligentes
• Collecte des journaux

• Téléchargez un client SSH tel que PuTTY/SecureCRT sur votre machine.
• Accédez à l'instance d'authentification adaptative à l'aide de l'adresse IP de gestion (principale).
• Connectez-vous avec vos identifiants.

Activer la journalisation des journaux d'authentification adaptative

1. Connectez-vous à l'interface de ligne de commande de l'instance d'authentification adaptative.
2. À l'aide de PuTTY, entrez les informations d'identification de gestion.
3. Exécutez la commande set audit syslogParams logLevel ALL

1. Connectez-vous à l'instance d'authentification adaptative à l'aide d'un navigateur.
2. Accédez à Configuration > Système > Audit.
3. Dans la page Audit, sous Paramètres, cliquez sur Modifier les paramètres syslog d'audit.
4. Dans Niveaux de journalisation, sélectionnez TOUS.

Problèmes de provisionnement

• Impossible d'accéder à l'interface utilisateur d'authentification adaptative
  Vérifiez si le droit est activé pour votre ID client/locataire.
• Bloqué sur la page de provisionnement pendant plus de 45 min
  Recueillez la capture d'écran de l'erreur, le cas échéant, puis contactez le support Citrix pour obtenir de l'aide.
• Le pair VNet est en panne
  • Vérifiez s'il y a des alertes dans le portail Azure correspondant à ce peering et prenez les mesures recommandées.
  • Supprimez le peering, puis ajoutez-le à nouveau depuis l'interface utilisateur d'Adaptive Authentication.
• Le déprovisionnement n'est pas terminé
  Contactez le support Citrix pour obtenir de l'aide.

Problème d'accessibilité de l'instance

• L'adresse IP de gestion n'est pas accessible pour l'instance
  • Vérifiez si l'adresse IP publique du client utilisée pour l'accès fait partie des adresses IP source autorisées.
  • Vérifiez si un proxy modifie l'adresse IP source du client.
• Impossible de se connecter à l'instance
  Assurez-vous que l'accès administrateur fonctionne correctement avec les informations d'identification que vous avez saisies lors du provisionnement.
• Les utilisateurs finaux n'ont pas tous les droits
  Assurez-vous que lors de l'ajout de l'utilisateur, vous avez lié la politique de commande appropriée pour l'accès. Pour plus d'informations, consultez Utilisateur, groupes d'utilisateurs et politiques de commande.

Problème de connectivité AD ou RADIUS

• Vérifiez si le VNet Azure géré par le client est accessible depuis les instances d'authentification adaptative.
• Vérifiez si la connectivité/accessibilité du VNet Azure géré par le client vers AD fonctionne.
• Assurez-vous que les routes appropriées sont ajoutées pour diriger le trafic des locaux vers les VNet Azure.

• Tous les journaux sont disponibles dans le répertoire /var/log/ns.log et chaque journal est préfixé par .
• Le ConnectionID des journaux peut être utilisé pour corréler différentes transactions.
• Assurez-vous que l'adresse IP privée de la machine virtuelle du connecteur est ajoutée comme l'un des clients RADIUS dans le serveur RADIUS, car cette adresse IP est l'adresse IP source du connecteur.
  Pour chaque demande d'authentification, le tunnel est établi entre l'instance d'authentification adaptative (processus NS - AAAD) et le serveur d'authentification. Une fois le tunnel établi avec succès, l'authentification a lieu.
  Assurez-vous que la machine virtuelle du connecteur peut résoudre le FQDN de l'authentification adaptative.
• Le connecteur est installé, mais la connectivité sur site échoue.
  Vérifiez si le NSAUTH-TUNNEL est en cours d'établissement.
  cat ns.log | grep -I “tunnel”
  Si l'exemple de journal suivant n'est pas imprimé dans le fichier ns.log pour la demande d'authentification, il peut y avoir un problème lors de l'établissement d'un tunnel ou un problème du côté du connecteur.
  LDAP:
[NS_AAUTH_TUNNEL] Entering bitpump for
Connection1 => Src : 192.168.0.7:28098, Dst : 10.106.103.60:636 , Connection2 => Src : 10.106.103.70:2271, Dst : 10.106.103.80:443"
RADIUS:
[NS_AAUTH_UDP_TUNNEL] MUX channel established"
  Vérifiez les détails du journal et prenez les mesures appropriées.

  Détails du journal	Action corrective
  Aucun journal avec le préfixe [NS_AAUTH_TUNNEL] n'est inclus dans le fichier journal	Exécutez la commande show cloudtunnel vserver. Cette commande doit lister les serveurs virtuels de tunnel cloud (TCP et UDP) avec l'état « UP ».
  [NS_AAUTH_TUNNEL] Waiting for outbound from connector Pour ce journal, si la réponse suivante n'est pas reçue : [NS-AAUTH-TUNNEL] Received connect command from connector and client connection lookupsucceeded"	Vérifiez si la machine du connecteur peut atteindre le FQDN de l'authentification adaptative OU vérifiez le pare-feu côté connecteur pour les connexions sortantes vers le FQDN de l'authentification adaptative
  [NS_AAUTH_TUNNEL] Server is down or couldn't create connection to ip 0.0.0.0 et [NS_AAUTH_TUNNEL] Connect response code 401 is not 200 OK, bailing out"	Contactez le support Citrix.

• Assurez-vous que le FQDN de l'authentification adaptative est accessible depuis la machine virtuelle du connecteur.
• Assurez-vous qu'un certificat intermédiaire est lié et associé au certificat de serveur sur l'instance d'authentification adaptative.

• Pour ajouter un sous-réseau ou une adresse IP à l'aide de l'interface de ligne de commande :
  set policy expression aauth_allow_rfc1918_subnets "(CLIENT.IP.DST.BETWEEN(10.0.0.0,10.255.255.255) || CLIENT.IP.DST.BETWEEN(172.16.0.0,172.31.255.255) || CLIENT.IP.DST.BETWEEN(192.168.0.0, 192.168.255.255) || CLIENT.IP.DST.BETWEEN(13.14.0.0, 13.14.255.255)||CLIENT.IP.DST.EQ(1.2.5.4))"
• Pour ajouter un sous-réseau ou une adresse IP à l'aide de l'interface graphique :
  1. Accédez à Appexpert > Expressions.
  2. Ajoutez l'expression aauth_allow_rfc1918_subnets.

• Validez les détails du DN de liaison.
• Utilisez la connectivité de test pour confirmer l'erreur.
• Validez les erreurs à l'aide de aaad debug.
• Connectez-vous à l'instance d'authentification adaptative à l'aide de la CLI.
  shell
cd /tmp
cat aaad.debug

• Délai d'attente du serveur – Aucune réponse du connecteur pour la requête LDAP.
• Autres erreurs LDAP, consultez CTX138663.

• L'adresse IP du connecteur doit être ajoutée en tant qu'adresse IP source du client RADIUS dans la configuration du serveur RADIUS.

Problèmes d'authentification

• Erreurs de post-assertion pour OAuth
  • Assurez-vous que toutes les revendications sont fournies par AD. Vous avez besoin de 7 revendications pour que cela réussisse.
  • Validez les journaux dans /var/log/ns.log pour localiser l'erreur des échecs OAuth.
  cat /var/log/ns.log
  • Validez les paramètres du profil OAuth.
• Authentification Azure AD bloquée à la post-assertion
  Ajoutez l'authentification AD comme facteur suivant avec l'authentification désactivée. Ceci permet d'obtenir toutes les revendications requises pour une authentification réussie.

Problèmes liés à l'EPA

• Le plug-in est déjà présent mais l'utilisateur est invité à télécharger le plug-in.
  Causes possibles : Incompatibilité de version ou fichiers corrompus
  • Exécutez les outils de développement et vérifiez si le fichier de liste des plug-ins contient la même version que celle du NetScaler® et de votre machine cliente.
  • Assurez-vous que la version du client sur le NetScaler est la même que sur la machine cliente.
    Mettez à jour le client sur le NetScaler.
    Sur l'instance d'authentification adaptative, accédez à Citrix Gateway > Paramètres globaux > Mettre à jour les bibliothèques clientes.
    La page des bibliothèques de plug-ins EPA sur Citrix Downloads vous fournit les informations détaillées.
  • Parfois, la requête peut être mise en cache sur NetScaler même si la version est mise à jour.
    show cache object affiche les détails du plug-in mis en cache. Vous pouvez le supprimer à l'aide de la commande ;
    flush cache object -locator 0x00000023345600000007
  Pour plus de détails sur la collecte des journaux EPA, consultez CTX209148.
• Existe-t-il un moyen d'annuler les paramètres EPA (Toujours, Oui, Non) après que l'utilisateur a sélectionné une option.
  Actuellement, l'annulation des paramètres EPA se fait manuellement.
  • Sur la machine cliente, accédez à C:\Users\<user_name>\AppData\Local\Citrix\AGEE.
  • Ouvrez le fichier config.js et définissez trustAlways sur null - "trustAlways":null

Problèmes de balises d'accès intelligent

• Après la configuration de l'accès intelligent, les applications ne sont pas disponibles
  Assurez-vous que les balises sont définies à la fois sur l'instance d'authentification adaptative et sur les groupes de mise à disposition Citrix VDA.
  Vérifiez que les balises sont ajoutées au groupe de mise à disposition en majuscules.
  Vous pouvez collecter le fichier ns.log et contacter le support Citrix si cela ne fonctionne pas.

Collecte générale des journaux pour l'instance d'authentification adaptative

• Bundle de support technique : Pour plus de détails, consultez How to collect the technical support bundle from SDX and VPX appliances for insight analysis.
• Fichiers de trace. Pour plus de détails, consultez How to record a packet trace on NetScaler.